Website Hardening: zabezpečení WordPressu a PHP

Co to je?

Zakázka posílení zabezpečení webu posuzuje a zlepšuje dohodnutá technická nastavení kolem veřejně dostupného webu nebo aplikace. Rozsah se potvrzuje písemně a může zahrnovat bezpečnostní hlavičky HTTP, nastavení TLS a cookies, opatření související s ověřováním, konfiguraci serveru nebo platformy, zpřístupněné administrační cesty, skripty třetích stran a základní uspořádání aktualizací. Cílem je omezit běžné a zbytečné cesty expozice v dohodnutém rozsahu, přičemž každé pozorování je podložené důkazy. V rámci potvrzeného přístupu náš tým provede dohodnuté změny a každou zaznamená do písemného záznamu změn se stavem před a po; položky, které vyžadují vašeho vývojáře, hosting nebo poskytovatele CDN, jsou pro ně zdokumentovány. Hranice odpovědnosti se potvrzuje před zahájením práce. Hardening je nejužitečnější, když je web dostatečně stabilní k posouzení, odpovědní vlastníci mohou potvrdit zamýšlené chování a existuje jasný způsob, jak změny otestovat před jejich nasazením nebo po něm.

Pro koho to je?

Posílení zabezpečení webu je vhodné pro firmy, které:

• Provozují veřejný web nebo webovou aplikaci s formuláři pro zákazníky, účty, platbami nebo jinými funkcemi kritickými pro podnikání
• Mají za sebou předchozí revizi, sken nebo interní kontrolní seznam, který identifikoval položky konfigurace vyžadující praktické dotažení
• Připravují spuštění, opětovné spuštění nebo změnu hostingu a chtějí méně spoléhat na neověřená výchozí nastavení
• Potřebují jasnější předání mezi produktovým, vývojovým, marketingovým a hostingovým týmem ohledně toho, kdo odpovídá za klíčová bezpečnostní nastavení

Co to pomůže objasnit

Zakázka posílení zabezpečení pomáhá ujasnit:

• Které dohodnuté slabiny konfigurace jsou aktuálně vystavené a které lze řešit v rámci hranic webu
• Které změny jsou jednoduché a které vyžadují rozhodnutí, protože mohou ovlivnit analytiku, vložený obsah, přihlašovací procesy nebo jiné chování webu
• Kde skripty třetích stran, nastavení hostingu nebo administrační přístup potřebují jasnějšího vlastníka nebo samostatnou revizi
• Co bylo změněno nebo doporučeno, co ještě vyžaduje navazující kroky a které body zůstávají otevřené

Co je zahrnuto

• Písemné potvrzení rozsahu zahrnující web, domény, prostředí a oblasti konfigurace
• Revize dohodnuté konfigurace WordPressu, PHP nebo jiného webu, včetně pluginů v rozsahu, hlaviček HTTP, nastavení TLS a cookies, opatření souvisejících s ověřováním, skriptů třetích stran a nastavení platformy nebo serveru
• Zdokumentovaný seznam zjištění a navrhovaných změn s vysvětlením praktického důvodu u každé položky
• Autorizované provedení dohodnutých změn konfigurace s písemným záznamem změn se stavem před a po
• Základní ověření dohodnutých změn a projednání funkčních kompromisů zjištěných během realizace
• Jeden revizní hovor k projednání předání, zbývající odpovědnosti a rozumných dalších kroků

Co není součástí

• Penetrační testování, aktivní zneužívání zranitelností nebo slib nalezení všech možných zranitelností
• Certifikace souladu, potvrzení auditu nebo příslib, že web splňuje všechny právní nebo odvětvové požadavky
• Průběžný monitoring, reakce na incidenty nebo nepřetržitá správa po ukončení zakázky
• Revize domén, systémů, pluginů nebo integrací, které nejsou uvedeny v dohodnutém rozsahu
• Revize kódu na úrovni aplikace, revize platebních procesů nebo širší práce na bezpečnosti produktu, pokud nejsou vymezeny samostatně

Kdy si ji vybrat

Posílení zabezpečení webu zvolte, když existuje známá obava týkající se konfigurace, cílená potřeba připravenosti ke spuštění nebo jasný soubor dřívějších zjištění, která by měla být převedena na řízené změny. Často je to rozumný další krok po základní revizi, skenu zranitelností nebo migraci platformy. Může být vhodné také tehdy, když web spravovalo několik dodavatelů a nikdo si není zcela jistý, která výchozí nastavení nebo skripty jsou stále používány. Pokud ústřední otázka ještě není jasná, začněte službou Security Baseline Review, abyste odlišili úkol v konfiguraci od širšího problému s přístupy, kódem nebo procesy. Hardening je nejúčinnější, když firma dokáže před dohodnutím změn určit vlastníka webu, technického vlastníka a přijatelné testovací okno.

Náš přístup

Začínáme písemným vymezením hranic webu a způsobu realizace. Zadání určuje domény, prostředí, oblasti konfigurace, požadavky na přístup a odpovědnost za změny. Změny provádíme, jakmile je toto potvrzení k dispozici. Pokud by změna mohla ovlivnit funkčnost, například restriktivní zásada prohlížeče, která změní chování skriptu třetí strany, vysvětlíme kompromis dříve, než budeme pokračovat. Dohodnuté změny ověřujeme v praktických mezích rozsahu a zaznamenáváme, co bylo provedeno, odloženo nebo ponecháno jinému vlastníkovi. Pokud narazíme na obavu, která ukazuje na slabinu na úrovni kódu, riziko dodavatele nebo širší bezpečnostní problém, zjištění zdokumentujeme, místo abychom práci bez dohody rozšiřovali. Předání je napsáno tak, aby váš vývojový, hostingový nebo interní provozní tým porozuměl výsledku, aniž by musel překládat dlouhý seznam bezpečnostního žargonu.

Často kladené otázky

Související články